向Sourcefire使用者代理使用的Active Directory使用者帳戶授予最低許可權

下載選項

PDF (658.5 KB)
在多種裝置上使用 Adobe Reader 檢視
ePub (560.4 KB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
Mobi (Kindle) (531.9 KB)
在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視

已更新: 2015 年 6 月 5 日

文件 ID:118637

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本文檔介紹如何為Active Directory(AD)使用者提供查詢AD域控制器所需的最低許可權。Sourcefire使用者代理使用AD使用者來查詢AD域控制器。為了執行查詢，AD使用者不需要任何其他許可權。

必要條件

需求

思科要求您在Microsoft Windows系統上安裝Sourcefire使用者代理並提供對AD域控制器的訪問。

採用元件

本文件所述內容不限於特定軟體和硬體版本。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

設定

首先，管理員必須專門為使用者代理訪問建立新的AD使用者。如果此新使用者不是域管理員組的成員（他們不應是），則可能需要明確授予該使用者訪問Windows Management Instrumentation(WMI)安全日誌的許可權。若要授予許可權，請完成以下步驟：

開啟WMI控制控制檯：
1. 在AD伺服器上，選擇Start選單。
2. 按一下「Run」，然後輸入wmimgmt.msc。
3. 按一下「OK」（確定）。出現WMI控制控制檯。
在WMI控制檯樹上，按一下右鍵WMI Control，然後按一下Properties。
按一下Security頁籤。
選擇要授予使用者或組訪問許可權的名稱空間(Root\CIMV2)，然後按一下Security。
在「安全」對話方塊中，按一下新增。
在選擇使用者、電腦或組對話方塊中，輸入要新增的對象（使用者或組）的名稱。按一下「Check Names」以驗證您的輸入，然後按一下「OK」。您可能必須更改位置或按一下高級才能查詢對象。有關詳細資訊，請參閱上下文相關幫助(?)。
在「安全」對話方塊的「許可權」部分中，選擇允許或拒絕以向新使用者或組授予許可權（最容易授予所有許可權）。必須至少為使用者提供遠端啟用許可權許可權。
按一下「Apply」以儲存變更。關閉視窗。

驗證

目前沒有適用於此組態的驗證程序。

疑難排解

本節提供的資訊可用於對組態進行疑難排解。

如果在配置更改後問題仍然存在，請更新分散式元件對象模型(DCOM)設定以允許遠端訪問：

選擇Start選單。
按一下Run並輸入DCOMCNFG。
按一下「OK」（確定）。此時將出現「元件服務」對話方塊。
在「元件服務」對話方塊中，展開元件服務，展開電腦，然後按一下右鍵我的電腦，然後選擇屬性。
在「My Computer Properties（我的電腦屬性）」對話方塊中，按一下「COM Security（COM安全）」頁籤。
在「啟動和啟用許可權」下，按一下「編輯限制」。
如果您的姓名或您的組未顯示在「組或使用者名稱」清單中，請在「啟動和啟用許可權」對話方塊中完成以下步驟：
1. 在「啟動和啟用許可權」對話方塊中，按一下新增。
2. 在「選擇使用者、電腦或組」對話方塊的「輸入要選擇的對象名稱」欄位中輸入您的姓名和組，然後按一下確定。
在「啟動和啟用許可權」對話方塊中，在「組或使用者名稱」部分選擇您的使用者和組。
在「使用者許可權」下的「允許」列中，選中Remote Launch和Remote Activation覈取方塊，然後按一下OK。
附註：使用者名稱必須具有在AD伺服器上查詢使用者登入資料的許可權。若要透過代理與使用者進行驗證，請輸入完全限定使用者名稱。預設情況下，用於登入到安裝代理的電腦中的帳戶的域會自動填充「域」欄位。如果您提供的使用者是其他域的成員，請為提供的使用者憑據更新域。
如果問題仍然存在，請在域控制器上嘗試在「管理稽核和安全日誌」策略中新增使用者。要新增使用者，請完成以下步驟：
1. 選擇組策略管理編輯器。
2. 選擇Computer Configuration > Windows Settings > Security Settings > Local Policies > User Rights Assignment。
3. 選擇管理稽核和安全日誌。
4. 新增使用者。